1、电子数据

美国司法学会(National Institute of Justice, NIJ)定义电子数据是以二进制形式存储或传输的信息,可以在法庭上被依赖,可以在电脑硬盘、移动电话、个人数字助手、数码相机中的闪存卡等中找到。电子数据证据可用于起诉所有类型的犯罪,而不仅仅是电子犯罪。
根据我国最高人民法院、最高人民检察院、公安部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》(2016年9月发),电子数据是案件发生过程中形成的,以数字化形式存储、处理、传输的,能够证明案件事实的数据。电子数据包括但不限于下列信息、电子文件:
(一)网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息;
(二)手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息;
(三)用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息;
(四)文档、图片、音视频、数字证书、计算机程序等电子文件。
Wiki百科中对电子数据的定义是以数字形式存储或传输的任何证明性信息,法院案件的一方可以在审判中使用电子数据作为证据。

2、电子数据取证

电子数据取证是一门侧重实践与应用的综合学科,涉及到的知识包括计算机软硬件知识体系网络技术密码学通信技术以及法学知识等,既有保证电子数据证据特性的基础技术,又有电子数据取证过程中广泛使用的密码破解、数据挖掘、数据分析等其他知识。 目前学术界对电子数据取证还没有一个统一的定义。电子数据取证这个术语最初被用作计算机取证的同义词,现在已扩展到涵盖所有能够存储数字数据设备的取证。典型的取证过程包括对数字媒体的缉获取证成像(采集)和分析以及将收集到的证据制作成报告。Wiki百科中对电子数据取证的定义是:电子数据取证是法医学的一个分支,涵盖数字设备中发现材料的恢复和调查,通常涉及计算机犯罪。计算机取证是电子数据取证的重要组成部分,作为电子数据取证方面的专业及资深人士,Judd Robbins曾对计算机取证给出了如下的定义:计算机取证不过是将计算机调查和分析技术应用于对潜在的、有法律效力的证据的确定与获取上。New Technologies作为一家专业的计算机应急响应和计算机取证咨询公司,进一步扩展了该定义:计算机取证包括了对以磁介质编码信息方式存储的计算机证据的保护、确认、提取和归档。SANS公司则将计算机取证归结为如下的说法:计算机取证是使用软件和工具,按照一些预先定义的程序全面的检查计算机系统,以提取和保护有关计算机犯罪的证据。除了识别犯罪的直接证据外,电子数据取证还可用于将证据归类于特定嫌疑犯,确认理由或陈述、确定意图、确定来源(例如版权案例中)或鉴定文件等。调查的范围比法医分析的其他领域的范围要广泛得多,这些问题通常涉及复杂的时间线或假设。从定义的角度来看,电子数据取证技术是经过资格认定的专业人员基于计算机科学原理和技术,按照法律规定的程序发现、固定、提取、分析、检验、记录和展示电子设备中存储的电子证据,找出与案件事实之间的客观关系,确定其证明力并提供鉴定意见的活动。简单来说,任何计算机犯罪都会在计算机或互联网上留下踪迹,电子数据取证技术的宗旨就是准确辨别并提取犯罪者留下的痕迹信息,从而揭露其犯罪事实。

3、电子数据取证的原则

美国警察学会(Association of Chief Police Officers,ACPO)提出电子数据取证的4个原则,从事电子数据取证的技术人员必须遵循这些原则: (一) 存储在计算机或存储介质数据不能被修改或变更,因为这些数据可能以后会在法庭上作为证据提出。 (二) 一个人必须足以胜任处理计算机或存储介质上的原始数据,如果有必要,他/她也应该能够给自己的行为的相关性和过程的证据作出解释。 (三) 基于电子数据取证过程的所有审计追踪和其他文档需要被创建和保存。一个独立的第三方能够检查这些过程并能获取相同的结果。 (四)负责取证的个人必须在法律和ACPO的原则下全面负责取证过程。 在ACPO的标准之上还有ADAM(The Advanced Data Acquisition Model)原则: (一) 取证人员的活动不应改变原始数据。如果工作要求意味着这是不可能的,那么应该清楚地识别从业者的行为对原始数据的影响,并且引起任何改变的过程是合理的。 (二)必须保留与原始数据的获取和处理相关的所有活动以及原始数据的任何副本的完整记录。这包括遵守适当的证据规则,例如维护监管链记录,以及哈希等验证过程。 (三) 取证人员不得从事任何超出其能力或知识范围的活动。 (四) 取证人员在开展工作时必须考虑个人和设备安全的各个方面。 (五)在任何时候都应考虑受到取证行为影响的任何人的合法权利。 (六)从业者必须了解与其活动有关的所有组织政策和程序。 (七)沟通必须与客户、法律执业者、主管和其他团队成员保持适当的关系。

4、电子数据取证的流程

US-CERT(The United States Computer Emergency Readiness Team)在2012年提出“计算机取证是一个新的领域,并缺少一致性的法规和标准化”。每个电子取证模型是专注于某一领域,目前还没有被普遍接受的任何单一数字取证调查模型。人们普遍认为,电子数据取证模型框架必须灵活,以便它可以支持任何类型的事件和新技术。以下介绍3种取证流程:(一)四步取证过程(FSFP)
       2006年Karen Kent根据Venter的想法开发的一个基本的电子数据取证调查模型称为四步取证过程——FSFP,电子数据取证调查甚至可以通过非技术人员进行。FSFP包含以下四个基本过程,如该图所示:
       该模型比任何其他模式更加灵活,使组织可以采用基于已发生的事件选择最适合的模型。箭头表示在取证各个过程中需要保存和记录所有的证书,以便证据可以在法庭中提交。(二) 全生命周期取证流程
      2018年,世界知名取证公司Guidance Software提出全生命周期取证流程,如下如所示。
     Guidance Software的取证流程已完全在其EnCase产品中实现,调查人员可以借助EnCase完成调查。首先完全识别计算机和移动设备中的潜在证据并对其进行优先排序,以确定是否需要进一步调查;然后对可能潜在证据的设备中的数据进行收集,并进行查找和分析;最后给客户生成一份详细的报告。(三)其他取证流程
       Fireeye公司提出的取证流程如下:第一步:优先。确定最重要的事件、能够分辨目标事件和非目标事件之间的差异、不同的目标有不同的策略。第二步:收集和存储正确的数据。捕获数据包、网络数据流、认证事件日志、企业管理日志这些数据中,哪些数据可以揭示攻击者的意图、这些日志需要存储多久等。第三步:有效率的分析数据。适当的问题可以快速找到答案,例如:在特定时间内,哪台机器使用地址发言?做了什么DNS请求?什么机器在什么时候有这个IP地址?此时谁登录系统?显式登录,类型,来自哪里?收集上面列出的数据类型将为调查人员提供一个很好的解决方案。

5、总结

本篇主要讲述了电子数据、电子数据取证的概念、原则、流程等。电子数据取证用到的基础知识有:

  • 计算机软硬件知识
  • 网络技术知识
  • 密码学知识
  • 通信技术知识
  • 法学知识

电子数据取证技术:

按照取证针对的操作系统分为Windows取证、Linux取证、Android取证、Mac取证……;

按照计算机取证状态分为静态取证和动态取证

按照取证流程可分为发现、固定、提取、分析、展示技术……;

按照取证技术细分可分为内存、注册表、日志、文件、数据库、电子邮件、浏览器、社交软件、病毒木马取证……;

按照部门工作规范可分为现场取证、远程勘验、检验鉴定……;

按照取证工作模式可分为单机取证、网络取证……

另外新的IT应用背景下,云取证,人工智能设备取证、物联网设备取证、智能汽车取证等细分领域也开始涌现。

因此,取证人需要了解和掌握的知识门类多,更需要不断的学习、更新、储备知识。

 

参考:

http://www.360doc.com/content/18/0430/21/542605_750079050.shtml

https://blog.csdn.net/xCnhYKoHj3eK/article/details/79740341

https://blog.csdn.net/jiangxinyu/article/details/1844934